Un país dejó de inscribir propiedad un martes
En la noche del 13 de julio los sistemas de la Agencia Nacional de Catastro y Publicidad Inmobiliaria de Rumanía dejaron de responder, y el martes 14 de julio la plataforma catastral e-Terra, las páginas web del organismo y sus servidores de correo estaban todos inaccesibles. ANCPI describió después el episodio como el incidente técnico más grave de la historia de la institución. La Dirección Nacional de Ciberseguridad rumana, DNSC, lo confirmó como un ciberataque y lo calificó de motivación económica, ejecutado con credenciales filtradas y vulnerabilidades conocidas y no por un actor estatal. Una semana más tarde la plataforma seguía sin volver.
El efecto práctico fue inmediato y nacional. Los notarios no podían autorizar compraventas, inscribir transmisiones ni registrar hipotecas, porque en Rumanía esos actos pasan por el mismo registro que el atacante dejó fuera de servicio. Un atacante bajo el alias ByteToBreach reivindicó la acción, y desde el 15 de julio se ofreció a la venta en un foro material atribuido al organismo, incluidas bases de datos internas y código fuente. La firma de seguridad KELA vinculó ese alias a Zakaria Mahdjoub, presunto ciberdelincuente residente en Orán, Argelia.
Dos relatos de la misma semana
El comunicado de ANCPI es cuidadoso y estrecho. Afirma que las bases de datos técnicas y jurídicas de la institución no resultaron afectadas, y advierte de que la información que circula en el espacio público sobre las supuestas consecuencias del ataque no procede de fuentes oficiales. Esa es la posición del organismo, publicada en su propia web, y no ha sido retirada.
Los investigadores de seguridad y el atacante cuentan la versión más dura: entrada con credenciales válidas, reconocimiento de los sistemas internos y después destrucción de sistemas y copias de seguridad tras fracasar un intento de extorsión, con una recuperación que se apoya en una copia guardada fuera de línea. Ambos relatos pueden ser parcialmente ciertos, porque un registro puede perder su entorno de producción y conservar intacto su acervo jurídico. Para quien está fuera del organismo esa distinción no cambia nada relevante este mes. Lo que detuvo las operaciones fue la disponibilidad, no la integridad.
La restauración está condicionada. La fecha fiscal no.
Quien lea con atención el plan de restauración del organismo no encontrará ninguna fecha. ANCPI explica que las aplicaciones se están migrando a la nube gubernamental, con finalización estimada el miércoles 22 de julio, tras lo cual instituciones autorizadas verificarán los sistemas y emitirán un informe, y después el servicio volverá por fases según prioridad operativa. Los sistemas afectados permanecen aislados hasta que se haya corregido cada debilidad detectada. Eso es una cadena de condiciones, no un compromiso, y es la forma correcta de dirigir una recuperación. También es ilimitada.
Frente a esa cadena ilimitada hay otra perfectamente limitada. Los contratos de arras firmados bajo el régimen rumano reducido del 9 por ciento de IVA para vivienda nueva vencen a finales de julio, y a partir de ahí se aplica el tipo general del 21 por ciento a las operaciones afectadas. No se ha anunciado ninguna prórroga. Doce puntos porcentuales del precio de compra dependen ahora de un acto administrativo que nadie en el país puede ejecutar. El mismo Estado controla la caída y el plazo, y hasta ahora solo ha movido uno de los dos, es decir, ninguno.
Un registro monopolista no tiene conmutación por error
Los propietarios compran redundancia para las partes de su infraestructura que controlan. Mantienen una segunda región de nube, un segundo operador, una segunda pasarela de pago. Los puntos únicos de fallo que de verdad detienen una operación suelen estar fuera de ese perímetro: un registro de la propiedad, un registro mercantil, un validador de número de IVA, un punto nacional de facturación electrónica, un esquema de identidad. Nada de eso admite doble proveedor, porque el Estado es el único suministrador y la resiliencia de la que usted depende es enteramente ajena. En España la misma dependencia pasa por el Registro de la Propiedad, y un comprador español no tiene más sustituto que uno rumano.
Tampoco es un hecho aislado. Los registros de la propiedad de Polonia, Eslovaquia, Grecia, Marruecos, Rusia y Ucrania han sido atacados en los últimos tres años, lo que convierte la caída de un registro público en un riesgo planificable y no en un caso de fuerza mayor. Bajo NIS2 los operadores de estos registros entran de lleno en el ámbito como entidades de la administración pública, pero la directiva les obliga a gestionar el riesgo, no a indemnizarle a usted por la semana que faltaron.
Lo que conviene escribir antes de que llegue su propia semana
Dedique una hora a enumerar cada registro público sin el cual alguna operación suya no puede cerrarse. Para cada uno, anote qué salida legal existe cuando no está disponible, ya sea presentación en papel, depósito notarial, asiento provisional o simplemente ninguna, y designe a la persona autorizada para activarla. Después plantee a su asesoría jurídica la pregunta que los compradores rumanos están haciendo ahora: ¿se suspende un plazo legal cuando el registro necesario para cumplirlo está caído? En Rumanía la respuesta llegará después del plazo, que es el peor momento posible para conocerla.
En su propio lado la lección es más estrecha y más antigua. La vía de entrada fueron credenciales filtradas más vulnerabilidades ya conocidas, es decir, la combinación que lleva años sin necesitar ni una sola técnica nueva. Imponga autenticación multifactor resistente al phishing en toda cuenta administrativa, caduque las credenciales que aparezcan en filtraciones sin esperar pruebas de uso, y conserve al menos una vía de restauración que viva fuera del conjunto de credenciales con el que corre producción. La copia fuera de línea es precisamente la que un atacante con sus contraseñas no puede alcanzar.
Leer a continuación: El parche de nginx ya está, el exploit llega en agosto | ServiceNow parcheó su nube primero y a usted 103 días más tarde
